El pasado 25 de mayo entró en vigor el Reglamento General de Protección de Datos (RGPD) pero no será hasta dentro de dos años cuando empresas y autónomos estén obligados a la aplicación completa de la normativa, que supondrá mayor protección y privacidad para los datos de los clientes y un esfuerzo añadido por parte de todas los negocios, sin importar su tamaño, de cara a la regularización de su información privada.
Teniendo en consideración el cambio progresivo que esta LOPD europea supone se proporcionará a todos los estados de la Unión Europea un periodo de dos años para adaptarse a los cambios del nuevo marco legislativo. Pero ¿están, hoy por hoy, los protocolos de pymes y autónomos preparados para cumplir con el recién estrenado RGPD?
El problema de la desinformación sobre el RGPD
Según un informe realizado por Dell , el 97% de las empresas no tienen planificada esa adaptación y una de cada diez empresas guardan aún datos sin atender a la legalidad. Además, el 80% están completamente desinformadas sobre los detalles de la nueva LOPD. Es tal el desconocimiento, y por ende, el incumplimiento existente que, si hoy mismo se aplicase el Reglamento General de Protección de Datos, más del 40% de las empresas medianas que operan en la Unión Europea pagarían una multa de hasta el 4% de su facturación anual o 20.000.000 euros por infringirlo .
Nuevas prácticas en las empresas
El reglamento YA en vigor tiene como fin aportar un único marco europeo para la protección de datos, mejorar el proceso y reducir los trámites burocráticos para contribuir a la libertad de movimiento de las empresas que adquirirán un mayor compromiso con la gestión y privacidad de los datos. ¿Qué prácticas deberán implementar pymes y autónomos para adaptarse al cumplimiento de la normativa?
Consentimiento inequívoco
El nuevo reglamento de Protección de Datos desestima el consentimiento tácito que realiza el cliente para el uso de sus datos y obligan a la revisión de las cláusulas de las empresas para que el consentimiento sea libre, específico, informada e inequívoco como reza la normativa.
Hasta el 25 de mayo de 2018, aquellos consentimientos que han sido obtenidos antes de la aplicación total de la nueva normativa el 25 de mayo de mayo de 2018 tendrán validez en el caso de que fueran adquiridos conforme a los criterios del reglamento. Después de esa fecha, todos los consentimientos deben ser claramente expresos y revocables no permitiéndose ningún otro tipo de consentimiento independientemente de su fecha de obtención.
Cláusulas y políticas informativas
¿Qué ocurre con las cuestiones adicionales que el reglamento incluye y que no aparecen expresas actualmente en la cláusulas informativas de las empresas? Las novedades procedentes de la normativa deben ser transmitidas al cliente mediante las herramientas habituales de comunicación como páginas webs, boletines informativos o correo electrónico pero además . Además, conviene una revisión y adaptación formal de las políticas informativas de las empresas.
La figura del Delegado de Protección de Datos
Si tu empresa aún no cuenta con un delegado de Protección de Datos (DPO) estás perdiendo un preciado tiempo. El RGPD exige que las empresas cuenten con un profesional que haga las veces de auditor interno y, en su papel, identifique los riesgos en la protección de determinados datos y aporte soluciones a la compañía. Esta figura tiene la obligación de transmitir a las Autoridades de Control los fallos o las brechas en la seguridad (Data Breach Notifications) en menos de 72 horas y de peticionar la autorización previa para implantar
Evaluación del Impacto en la Protección de Datos (PIA)
Una de las novedades que conlleva el Reglamento es la obligatoriedad de poner en marcha una Evaluación de Impacto en la Protección de Datos Personales o Privacy Impact Assessments (PIA) en las empresas. Esta herramienta es muy útil para avanzar en la privacidad de todo el ciclo de vida del dato introducido al someterlo a análisis para comprobar si pone en riesgo el derecho fundamental. Tras el resultado es necesario implementar medidas las medidas de seguridad adecuadas.
Códigos de conducta
Existen una serie de obligaciones que los responsables de tratamientos de privacidad y protección de datos pueden cumplir mediante los Códigos de Conducta que la autoridad de control competente, Estados Miembros, Autoridad de Control, Consejo Europeo de Protección de Datos deben promover, supervisar o modificar. Se trata por tanto de una guía práctica para determinados sectores.
Certificados y Sellos
Es importante darle visibilidad a tu buen hacer en la protección de datos. Por ello se establecen mecanismos de certificación que confirman el cumplimiento de la normativa RGPD y la calidad de la protección de datos. Estos sellos y certificaciones son por tanto elementos que contribuyen a la distinción en tu reputación corporativa y en consecuencia a la competitividad.
